OpenClaw主机安全加固全攻略：拒绝“裸奔”，打造坚不可摧的数字员工堡垒

最近这段时间，OpenClaw（原名Clawdbot）在开发者和AI爱好者圈子里可谓是火得一塌糊涂。大家都在惊叹于它强大的任务执行能力和自动化调度水平。但在繁荣的背后，却隐藏着一个触目惊心的安全隐患。根据Censys Platform、360网络空间测绘等第三方数据显示，大量部署了OpenClaw服务的服务器，正将其Web管理界面（WebUI）毫无防备地直接暴露在公网上，且没有采取任何有效的访问控制措施。

以我们观测到的实例来看，很多服务器大门敞开，默认的WebUI管理端口（比如18789/TCP）完全暴露，形成了一个巨大的攻击面。这种“暴露即被控”的风险态势绝不是危言耸听。它意味着数量庞大的服务器已经成为黑客眼中极其诱人的潜在目标，甚至有些机器可能早已在主人毫无察觉的情况下，沦为了受人操控的“肉鸡”。

面对如此严峻的暴露现状，加强OpenClaw部署的安全加固已经不再是一个可有可无的选项，而是保障我们系统与数据安全的必然要求。今天，主题铺就来为大家详细剖析当前面临的风险，并提供一套切实可行的安全加固指引，帮助各位管理员规避因配置疏漏而导致的重大安全事件。

当然，如果还不知道OpenClaw的话，可以参考本站的部署文章：

在腾讯云轻量服务器一键安装部署OpenClaw图文教程 含QQ/企业微信/飞书/钉钉对接指南

3个月前

049114

一键安装部署OpenClaw/Moltbot/Clawdbot超详细图文教程 含对接钉钉/飞书/微信/Web集成方法

3个月前

0318320

减少Token消耗之腾讯云Coding Plan省钱教程及OpenClaw使用技巧

2个月前

038613

特别说明：
本文的实操演示将以腾讯云轻量应用服务器为例进行说明。如果您的服务器环境有所不同，请参考核心逻辑，结合自身的实际情况进行操作。

腾讯云官方活动：4核4G服务器新客38元/年起，香港地域服务器低至6.5折/月，百万大模型 tokens 免费体验

整体安全加固思路概览

为了让大家有一个清晰的防线构建概念，我们先来理清针对OpenClaw的核心防御策略。整个加固过程分为网络、系统、应用、数据、云平台监控五个维度，层层设防，确保万无一失。

🛡️ 一、网络安全加固

网络层是黑客最容易触及的边界，守住这里，就等于挡住了绝大部分的自动化扫描攻击。

1.1 限制OpenClaw默认端口（18789）外网访问（首要任务）

说明： 出于对安全性的高度负责，腾讯云轻量应用服务器的一键部署OpenClaw应用模版，在默认状态下是未支持直接通过公网IP来访问WebUI的，这一点必须给腾讯云点赞。

但如果您是自己手动安装，或者通过其他云平台接入，那么强烈建议您通过以下方式进行防火墙规则限制。

1. 打开腾讯云页面，点击右上角进行用户登录，登录成功后点击控制台，进入「轻量应用服务器」，选中您部署OpenClaw的那个服务器实例。
2. 在左侧导航栏点击「防火墙」，切换到「添加规则」标签页。
3. 设置端口「18789」，在来源IP处，仅允许您自己常用设备的公网IP访问。

1.2 修改OpenClaw默认端口（进阶防护，降低暴露面）

如果您确实需要在大范围内开放Web访问，那么强烈建议您将默认端口18789修改为其他不显眼的端口。

1. 登录服务器，修改系统服务单元文件
我们需要找到并修改服务文件 ~/.config/systemd/user/openclaw-gateway.service。这是最核心的一步。

# 请使用文本编辑器（如 nano或 vim）打开这个文件。
vim ~/.config/systemd/user/openclaw-gateway.service

# 在文件中找到这两行，修改指定端口
ExecStart=/usr/bin/node /path/to/openclaw gateway --port 18789
Environment=OPENCLAW_GATEWAY_PORT=18789
# 将其中的18789修改为1024-65535之间的非默认端口（如28789），避免与其他服务端口冲突。
# 注意：只修改端口号，不要改动其他任何参数，保存后退出。

2. 修改 OpenClaw 主配置文件
接下来，需要修改主配置文件 ~/.openclaw/openclaw.json，这个文件通常包含网关（Gateway）的配置项。

# 编辑主配置文件
vim ~/.openclaw/openclaw.json

# 在文件中寻找与网关（gateway）相关的配置部分
{
  "gateway": {
    "bind": "127.0.0.1",
    "port": 18789,    # 修改18789为新端口
    // ... 其他配置 ...
  }
}
# 将 "port"的值同样修改为新端口（如28789），保存并退出。

3. 重启OpenClaw服务并检查状态

# 步骤1: 重新加载服务配置，告知 systemd 服务单元文件已被修改。
systemctl --user daemon-reload

# 步骤2: 重启OpenClaw 网关服务。
systemctl --user restart openclaw-gateway.service

# 步骤3: 检查服务状态，确认服务是否在新端口上正常运行。
systemctl --user status openclaw-gateway.service
# 如果输出中显示 active (running)，则表示服务已成功启动

# 步骤4: 检查系统上新服务端口是否正常监听
netstat -antp |grep 28789
# 应该能看到类似：tcp 0 0 0.0.0.0:28789 0.0.0.0:* LISTEN

4. 更新安全组或防火墙
不要忘记将原先放行的18789端口规则，替换为您修改后的新端口，否则依然无法从外部访问。

5. 验证访问
完成以上所有步骤后，您就可以使用新端口进行访问了。访问格式为：
http://x.x.x.x:新端口/?token=您的Token

如果您非常注重隐私，WebUI仅绑定到了本地地址（127.0.0.1），您也可以通过SSH隧道来进行极其安全的访问：
ssh -N -L 新端口:127.0.0.1:新端口 你的服务器用户名@服务器IP
然后在浏览器中访问 http://localhost:新端口/?token=您的Token 即可。

1.3 修改SSH默认端口

将SSH默认的22端口修改为10000-65535之间极不常用的端口，这能极其有效地避免全网自动化爆破扫描。

# 编辑SSH配置文件
sudo vim /etc/ssh/sshd_config
# 找到 #Port 22，删除前面的注释符#，并将22改为新端口，如23456
Port 23456
# 保存后重启SSH服务
sudo systemctl restart sshd

重要提醒：在修改配置前，请务必先在腾讯云安全组或防火墙中，放行新的SSH端口（如23456），然后再禁用原来的22端口。最后一定要测试新端口连接成功，否则你可能会把自己永远锁在服务器外面。

1.4 极其冷酷地关闭不必要的外网访问端口

1. 进入腾讯云轻量服务器「安全组」→「入站规则」。
2. 删除所有与业务无关的端口规则（比如默认开放的3389、8080等）。仅保留SSH修改后的端口、OpenClaw修改后的端口以及其他极其必要的业务端口。
3. 对于SSH等必要对外端口，强烈建议限制来源IP（仅允许自身可信IP访问），配置方式与1.1步骤相同。

1.5 强制使用密钥认证替代密码登录

在腾讯云控制台的“密钥”管理模块中创建一个SSH密钥对，并将公钥绑定到您的服务器实例上。今后登录时强制要求使用私钥进行认证，这比传统的密码验证要安全无数倍。请务必像保护银行卡密码一样妥善保管您下载的私钥文件。

1.6 启用扫码登录替代密码登录（便捷与安全兼得）

前往腾讯云轻量应用服务器控制台，开启OpenClaw实例的扫码登录功能。

开启此功能后，其他用户尝试通过SSH登陆服务器时，系统会强制要求用户通过微信扫码进行身份权限的二次验证。相比于极其脆弱的纯密码登录方式，它能在极大程度上抵御攻击者通过暴力破解来侵入服务器的风险。

⚙️ 二、系统层面加固

本章节的核心在于：坚决解决以root（最高管理员）权限运行OpenClaw的致命隐患。

2.1 降权运行OpenClaw（极其关键）

注意：本步骤以腾讯云轻量应用服务器部署的OpenClaw作为示例。如果您采用了其他安装方式，请结合自身实际情况灵活调整配置。此操作需要一定的Linux命令行基础。

1. 停止当前处于危险状态的服务

sudo systemctl --user stop openclaw-gateway.service

说明：其他安装方式，可通过命令 openclaw gateway status 查看OpenClaw的安装及配置目录。

2. 移动并修改服务文件
为了更规范地管理，我们将使用系统级的 systemd 来接管服务，需要将服务文件移动到系统目录中。

# 将服务文件从用户目录强行移动到系统目录
sudo mv ~/.config/systemd/user/openclaw-gateway.service /etc/systemd/system/

3. 创建一个极其普通的专属用户
我们将专门创建一个普通权限的用户用于启动OpenClaw（用户名可自定义，例如：openclawuser）。

useradd -m openclawuser
passwd openclawuser

4. 转移文件所有权并设置极其严苛的读取权限

sudo chown -R openclawuser:openclawuser /root/.nvm/versions/node/v22.22.0/lib/node_modules/openclaw
sudo chown -R openclawuser:openclawuser ~/.openclaw  # 配置文件目录

# 赋予openclawuser读取Node.js和OpenClaw执行文件的权限
sudo chmod 755 /root/.nvm/versions/node/v22.22.0/bin/node

sudo setfacl -m u:openclawuser:rx /root
sudo setfacl -m u:openclawuser:rx /root/.nvm
sudo setfacl -R -m u:openclawuser:rx /root/.nvm/versions/node/v22.22.0
sudo setfacl -R -m u:openclawuser:rx /root/.nvm/versions/node/v22.22.0/lib/node_modules/openclaw

5. 彻底改造服务文件

# 编辑系统级的服务文件，修改配置
vim /etc/systemd/system/openclaw-gateway.service

[Service]
# 新增或调整如下几个配置项，强制指定运行用户
User=openclawuser
Group=openclawuser
ExecStart="/root/.nvm/versions/node/v22.22.0/bin/node" "/root/.nvm/versions/node/v22.22.0/lib/node_modules/openclaw/dist/index.js" gateway -port 28785
Environment=HOME=/home/openclawuser
Environment="PATH=/usr/local/bin:/usr/bin:/usr/sbin:/bin:/usr/sbin"

# ...其他配置保持不变

6. 将旧配置平滑迁移到新用户目录

# 1.复制 root 用户的配置文件到 openclawuser 家目录
sudo mkdir -p /home/openclawuser/.openclaw
sudo cp -r /root/.openclaw/* /home/openclawuser/.openclaw/

# 2.移交配置文件的绝对所有权
sudo chown -R openclawuser:openclawuser /home/openclawuser/.openclaw

7. 重新加载并霸气重启服务

# 重新加载systemd系统配置
sudo systemctl daemon-reload
# 重启服务，赋予其新生
sudo systemctl restart openclaw-gateway.service
# 检查服务是否健康运行
sudo systemctl status openclaw-gateway.service 

8. 终极验证：OpenClaw进程的归属

ps -ef |grep openclaw-gateway
# 如果输出类似于：opencla+ 665481 1 2 15:46 ? 00:01:27 openclaw-gateway
# 证明进程已经不再由root掌控，符合安全最佳实践。

其他排错手段：如果服务启动极其不幸地失败了，可以通过以下命令查看极其详细的系统日志来排查致命问题：
sudo journalctl -u openclaw-gateway.service -f

您还可以通过QQ等IM工具向机器人提问：“请问openclaw是哪个系统用户运行的？”如果输出结果显示的是您刚创建的普通用户，那就万事大吉了。
备注：如果在上述操作后功能出现异常，建议深挖 /tmp/openclaw/ 目录下的底层日志文件进行排雷。

2.2 极其坚决地禁用root远程登录

为了彻底断绝黑客通过暴力破解root密码侵入服务器的念头，请按如下步骤修改配置并重启SSH服务。

# 深入编辑SSH配置文件
sudo vim /etc/ssh/sshd_config
# 找到 PermitRootLogin 这一项，极其冷酷地将yes改为no
PermitRootLogin no
# 保存后让SSH服务重新焕发生机
sudo systemctl restart sshd

重要提示：在执行这一步“自断后路”的操作前，请务必参考2.1节，提前创建一个拥有sudo权限的非root普通用户。今后请养成良好的习惯：先使用非root用户安全登陆，有需要时再切换至root用户执行高危操作。

2.3 基础系统加固（低门槛，却能保命）

1. 狂刷系统补丁（修补已知致命漏洞）：Linux系统请执行命令 yum update -y（CentOS环境）或 apt update && apt upgrade -y（Ubuntu环境）；Windows系统请登录服务器，通过「Windows Update」乖乖更新所有重要补丁。
2. 果断关闭不必要的系统服务：Linux执行命令 systemctl disable firewalld（如果你已经全面使用了腾讯云的安全组策略，为了防止冲突可关闭系统自带防火墙）、systemctl disable postfix（如果你压根不用邮件服务，留着它就是个隐患）。
3. 强行拔高密码复杂度（强烈建议）：Linux执行命令 vim /etc/login.defs，将 PASS_MIN_LEN 强制修改为 8（即密码最小长度不得低于8位），保存即可。

⚙️ 三、应用安全加固

3.1 极其敏锐地保持OpenClaw更新至最新版本（高阶操作）

开源项目迭代极快，更新往往意味着修复了前代被曝光的致命漏洞。

1. 打开腾讯云页面，登录服务器，极其熟练地潜入OpenClaw安装目录：cd /root/.openclaw。
2. 执行极其硬核的更新命令（具体参考官方开源文档）：git clone https://github.com/openclaw/openclaw.git（从代码仓库强行拉取最新代码）。
3. 解压覆盖相关旧文件，并重新启用OpenClaw服务进程。
4. 验证战果：执行命令 ./openclaw -v，确认当前版本号与官方发布的最新版本绝对一致。

3.2 极其严苛地加固OpenClaw配置文件

1. 设置配置文件为死硬的只读权限：执行命令 chmod 400 /root/.openclaw/openclaw.json。这意味着仅允许拥有者读取，彻底禁止任何程序对其进行恶意修改。
2. 编辑 openclaw.json，在深处找到「gateway」配置节点，将相关的web端口绑定网卡按需做出极其谨慎的修改。

"gateway": {
    "port": 18789,
    "mode": "local",
    "bind": "loopback", // 强烈建议绑定到回环地址
    "auth": {
      "mode": "token",
      "token": "xxxc9aa55ed427e397c1yyyyyyyyyyyyy"
    },

🔒 四、数据安全与隐私保护

4.1 极其规律地定期备份数据和配置

1. 手动备份（基础用户的首选）：执行命令 zip -r openclaw_backup.zip /root/.openclaw（将整个安装目录极其粗暴地打包压缩）。
2. 将命脉转移至本地：通过腾讯云轻量控制台的「文件管理」功能，找到那个备份压缩包，点击「下载」，将其极其安稳地保存在你本地的物理电脑里。
3. 定时自动备份（极客玩法）：执行命令 crontab -e，极其精准地添加一行任务代码：0 0 * * * zip -r /root/openclaw_backup_$(date +\%Y\%m\%d).zip /root/.openclaw（意思是每天深夜0点，系统会自动打一个时间戳备份包存放在服务器），保存退出，让它每天默默为你守护数据。

腾讯云官方活动：4核4G服务器新客38元/年起，香港地域服务器低至6.5折/月，百万大模型 tokens 免费体验

🛡️ 五、云平台安全加固

5.1 极其主动地开启腾讯云安全中心基础防护

1. 打开腾讯云页面，登录腾讯云控制台，在顶部搜索栏输入「云安全中心」，毫不犹豫地进入该模块。
2. 启动全面安全体检：依次进入「漏洞与风险中心」→「安全体检」→「标准体检」，极其精准地选择你部署OpenClaw的那个服务器实例，点击「开始体检」。
3. 极其痛快地一键修复：体检完成后，仔细阅读报告。根据系统提示，果断点击一键修复那些极其危险的系统漏洞和配置风险，完全无需你手动敲击一行代码。

5.2 享受默认的 DDoS 基础防护

腾讯云轻量应用服务器实例在创建之初，就已经极其贴心地为你默认开启了 DDoS 基础防护。它最高能抗住 2 Gbps 的流量洪峰。如果你的业务极其重要，对防护有着极其变态的要求，强烈建议你掏钱升级到防护专业版本。

5.3 极其敏锐的主机安全监测

轻量应用服务器默认会极其安静地安装基础版本的主机安全探针。它能对你的实例进行极其基础但不失严谨的安全监测。你可以随时登陆「主机安全」控制台，查看服务器是否卷入了任何风险告警中。一旦发现被标记为高危风险的异常，必须立刻放下手头的工作，按照指引极其迅速地进行修复。

提醒：免费的基础版防护能力终究有限。如果你财力雄厚，完全可以根据需要选择更高维度的安全防护版本。

📊 六、运营监控与持续维护

6.1 极其严密地监控进程和端口状态

1. 手动巡检（每日必修课）：每天雷打不动地执行2次命令。先查进程 ps -ef | grep openclaw（确认它还活着，且归属于那个极其卑微的普通用户）；再查端口 netstat -an | grep 28789（确认它只极其乖巧地允许你自己的IP访问）。
2. 云监控指标（上帝视角）：通过控制台极其详尽的监控面板，你可以以上帝视角极其清晰地洞察CPU、内存、网络IO和磁盘读写的起伏波动。配合“AI分析监控数据”功能，系统甚至能自动为你生成一份极其通俗易懂的实例健康度评估报告。

6.2 极其警惕地深挖服务器日志

1. 死盯OpenClaw运行日志：使用命令 journalctl -u openclaw-gateway.service -f 或 tail -f /tmp/openclaw/openclaw-2026-xx-xx.log，极其专注地查看实时滚动日志。一旦发现极其诡异的异常访问请求或极其致命的错误代码，必须极其果断地予以阻击。
2. 排查系统登录日志：执行命令 tail -f /var/log/secure，看看是不是有来自极其遥远异国的陌生IP在极其疯狂地尝试登录你的服务器。如果抓到了现行，立刻、马上、毫不留情地在安全组里将该IP永久拉黑。
3. 极其克制的日志留存策略：为了防止极其庞大的日志文件撑爆你的磁盘，执行命令 echo "find /tmp/openclaw -name '*.log' -mtime +7 -delete" >> /etc/crontab，让系统极其冷酷地每天自动抹杀掉7天前的旧日志。

6.3 极其聪明地设置异常告警（零门槛）

1. 进入实例详情页，在左侧导航极其敏锐地找到「监控告警」→「告警策略」。
2. 点击「新建告警策略」，极其严厉地设定告警阈值：比如CPU使用率≥80%、内存使用率≥80%，甚至是OpenClaw专属端口遭遇异常关闭时。
3. 建立极其快速的响应机制：将告警接收方式死死绑定你的常用手机和邮箱，并将告警频率设定为极其紧凑的5分钟一次。一旦有风吹草动触发了阈值，你就能在第一时间收到极其刺耳的告警，从而赢得极其宝贵的抢修时间。

6.4 启用极其严谨的审计与隔离测试

• 定期审查操作日志：在OpenClaw开启极其详尽的详细日志功能后，你必须定期化身审计员，审查它所有的操作记录，极其警惕那些试图越权的未授权访问尝试。
• 隔离测试环境（极其极其强烈的建议）：主题铺在这里极其严肃地警告各位：绝对不要在你作为日常核心工作的“主力机”上直接部署和测试OpenClaw！ 请务必极其奢侈地使用一台完全独立的服务器或虚拟机来专门圈养它。这是极其有效、也是能保住你身家性命的最终物理隔离方案。

附则：写给基础用户要求

1. 这本极其厚重的手册里所有的操作，都已经被极其努力地简化到了低门槛的级别。你完全不需要去深挖那些极其晦涩的技术底层细节，只需极其机械地复制命令、点击控制台就能大功告成。
2. 核心加固的优先级排序极其明确：修改或限制默认端口外网访问 → 降权运行OpenClaw → 开启腾讯云安全中心 → 定期备份数据。这四步是你无论如何都必须极其迅速完成的保命操作。
3. 如果在极其不幸的实操过程中导致了应用无法启动或登录失败。别慌，极其冷静地恢复你之前备份的配置文件，极其果断地重启服务器，或者极其虚心地去翻阅腾讯云和OpenClaw的官方文档进行排雷。
4. 安全是一场极其持久且极其残酷的战役。强烈建议你极其自律地每周进行一次全面的安全体检，每月极其勤快地更新一次软件版本和系统补丁。只有这样，你才能在这场极其漫长的拉锯战中，始终极其从容地保障这只“赛博小龙虾”极其安全地为你服务。祝各位玩得愉快！

腾讯云官方活动：4核4G服务器新客38元/年起，香港地域服务器低至6.5折/月，百万大模型 tokens 免费体验